Chrome udgivelse 91

Google har udgivet webbrowseren Chrome 91. Samtidig er en stabil udgivelse af det gratis Chromium-projekt, som er grundlaget for Chrome, tilgængelig. Chrome-browseren er kendetegnet ved brugen af ​​Google-logoer, tilstedeværelsen af ​​et system til at sende notifikationer i tilfælde af et nedbrud, moduler til afspilning af beskyttet videoindhold (DRM), et system til automatisk installation af opdateringer og overførsel af RLZ-parametre under søgninger. Den næste udgivelse af Chrome 92 er planlagt til den 20. juli.

Vigtigste ændringer i Chrome 91:

• Implementerede muligheden for at stoppe JavaScript-udførelse i en skjult fanegruppe. Chrome 85 introducerede understøttelse af at kombinere faner i grupper, som kan knyttes til en bestemt farve og etiket. Hvis du klikker på en gruppeetiket, skjules de tilknyttede faner, så der kun er en enkelt etiket på deres plads (hvis du klikker på etiketten igen, udvides gruppen). I den nye udgivelse har vi implementeret pauseaktivitet i skjulte faner for at reducere belastningen på CPU'en og spare energi. De eneste undtagelser er faner, der afspiller lyd, bruger Web Locks eller IndexedDB API, er tilsluttet en USB-enhed eller optager video, lyd eller vinduesindhold. Ændringen vil blive implementeret gradvist, startende med en lille procentdel af brugerne.
• Understøttelse af en kvanteresistent nøgleaftalemetode er inkluderet. Kvantecomputere er meget hurtigere til at løse problemet med at faktorisere et naturligt tal i primfaktorer, hvilket ligger til grund for moderne asymmetriske krypteringsalgoritmer og ikke kan løses effektivt på klassiske processorer. CECPQ1.3-plugin'et (Combined Elliptic-Curve and Post-Quantum 2) leveres til brug i TLSv2 og kombinerer den klassiske X25519-nøgleudvekslingsmekanisme med HRSS-skemaet baseret på NTRU Prime-algoritmen udviklet til post-kvantekryptosystemer.
• Understøttelse af TLS 1.0- og TLS 1.1-protokoller er blevet fuldstændigt afbrudt og er blevet udfaset af IETF (Internet Engineering Task Force). Især muligheden for at vende tilbage til TLS 1.0/1.1 ved at ændre SSLVersionMin-politikken er blevet fjernet.
• I samlinger til platformen Linux включено использование режима «DNS поверх HTTPS» (DoH, DNS over HTTPS), который ранее был доведён до пользователей Windows, macOS, ChromeOS и Android. DNS-over-HTTPS будет автоматически активирован для пользователей, в настройках которых указаны DNS-провайдеры, поддерживающие данную технологию (для DNS-over-HTTPS используется тот же провайдер, который применялся для DNS). Например, если у пользователя в системных настройках указан DNS 8.8.8.8, то в Chrome будет активирован DNS-over-HTTPS сервис Google («https://dns.google.com/dns-query»), если DNS — 1.1.1.1, то DNS-over-HTTPS сервис Cloudflare («https://cloudflare-dns.com/dns-query») и т.п.
• Port 10080, som bruges i Amanda-backup og VMWare vCenter, er blevet føjet til listen over forbudte netværksporte. Portene 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061 og 6566 er allerede blevet blokeret. For porte på sortlisten er afsendelse af HTTP-, HTTPS- og FTP-anmodninger blokeret for at beskytte mod et NAT-slipstreaming-angreb, som gør det muligt at etablere en netværksforbindelse fra angriberens server til enhver UDP- eller TCP-port på brugerens system, når man åbner en specielt forberedt webside i en browser, på trods af brugen af ​​et internt adresseinterval (192.168.xx, 10.xxx).
• Предоставлена возможность настройки автоматического запуска обособленных web-приложений (PWA — Progressive Web Apps) при входе пользователя в систему (Windows и macOS). Автозапуск настраивается на странице chrome://apps. Функциональность пока тестируется на небольшом проценте пользователей, а для остальных требует активации настройки «chrome://flags/#enable-desktop-pwas-run-on-os-login».
• Som en del af arbejdet med at konvertere browseren til at bruge inkluderende terminologi er filen "master_preferences" blevet omdøbt til "initial_preferences". For at opretholde kompatibilitet vil understøttelsen af ​​"master_preferences" forblive i browseren i et stykke tid. Browseren har allerede fjernet ordene "whitelist", "blacklist" og "native".
• Den forbedrede Safe Browsing-tilstand, som aktiverer yderligere kontroller for at beskytte mod phishing, ondsindet aktivitet og andre trusler på nettet, inkluderer nu muligheden for at sende downloadede filer til verifikation på Google-siden. Derudover tager Enhanced Safe Browsing højde for tokens, der er knyttet til en Google-konto, når phishing-forsøg registreres, samt sender Referrer-headerværdier til Googles servere for at kontrollere for videresendelse fra et ondsindet websted.
• В редакции для платформы Android улучшено оформление элементов web-форм, которые были оптимизированы для использования на сенсорных экранах и системах для людей с ограниченными возможностями (для настольных систем оформление было переделано в Chrome 83). Целью переработки стала унификация оформления элементов форм и устранение несоответствия стилей — ранее часть элементов форм была спроектирована в соответствии с элементами интерфейса операционных систем, а часть — в соответствии с наиболее популярными стилями. Из-за этого разные элементы по разному подходили для сенсорных экранов и систем для людей с ограниченными возможностями.
• Tilføjet en brugermeningsmåling, der vises, når indstillingerne for privatlivssandbox åbnes (chrome://settings/privacySandbox).
• Ved opstart Android-версии Chrome на планшетных ПК с большим экраном обеспечен запрос десктоп-версии сайта, а не редакции для мобильных устройств. Изменить поведение можно при помощи настройки «chrome://flags/#request-desktop-site-for-tablets».
• Koden til gengivelse af tabeller er blevet omarbejdet, hvilket har løst problemer med uoverensstemmelser i opførslen af ​​tabeloutput i Chrome og Firefox/Safari.
• Behandlingen af ​​servercertifikater fra den spanske certificeringsmyndighed Camerfirma er blevet stoppet på grund af gentagne hændelser relateret til overtrædelser i udstedelsen af ​​certifikater siden 2017. Understøttelse af klientcertifikater opretholdes, blokeringen gælder kun for certifikater, der bruges på websteder til HTTPS.
• Understøttelse af netværkssegmentering er fortsat for at beskytte mod sporingsmetoder på tværs af websteder baseret på lagring af identifikatorer i områder, der ikke er beregnet til permanent lagring ("Supercookies"). Da cachelagrede ressourcer gemmes i et delt navnerum, uanset det oprindelige domæne, kan ét websted registrere indlæsning af ressourcer fra et andet websted ved at kontrollere, om ressourcen er til stede i cachen. Denne beskyttelse er baseret på brugen af ​​netværkspartitionering, hvilket involverer tilføjelse af yderligere mappings til delte cacher. domæne, hvorfra hovedsiden åbnes, hvilket begrænser cachens omfang for sporingsscripts til kun det aktuelle websted (et script fra en iframe vil ikke kunne kontrollere, om ressourcen blev indlæst fra et andet websted).

  Prisen for segmentering er et fald i caching-effektiviteten, hvilket fører til en lille stigning i sideindlæsningstiden (maksimalt 1.32 %, men for 80 % af webstederne med 0.09-0.75 %). For at teste segmenteringstilstanden kan du køre browseren med indstillingen "--enable-features=PartitionConnectionsByNetworkIsolationKey, PartitionExpectCTStateByNetworkIsolationKey, PartitionHttpServerPropertiesByNetworkIsolationKey, PartitionNelAndReportingByNetworkIsolationKey, PartitionSSLSessionsByNetworkIsolationKey, SplitHostCacheByNetworkIsolationKey".

• Tilføjet ekstern REST API VersionHistory (https://versionhistory.googleapis.com/v1/chrome), hvorigennem du kan få oplysninger om Chrome-versioner i forhold til platforme og grene, samt browseropdateringshistorik.
• I iframes, der indlæses fra andre domæner end basissidens domæne, er visning af JavaScript-dialogboksene alert(), confirm() og prompt(), forbudt. Disse vil beskytte brugerne mod forsøg fra tredjepartsscripts på at vise beskeder under påskud af, at beskeden blev vist af hovedsiden.
• WebAssembly SIMD API'en er blevet stabiliseret og gjort til standard for brug af vektor-SIMD-instruktioner i WebAssembly-applikationer. For at sikre platformuafhængighed er der en ny 128-bit type, der kan repræsentere forskellige typer pakkede data, og adskillige grundlæggende vektoroperationer til behandling af pakkede data. SIMD giver mulighed for øget ydeevne ved at parallelisere databehandling og vil være nyttig, når der kompileres native kode til WebAssembly.
• Adskillige nye API'er er blevet tilføjet til tilstanden Origin Trials (eksperimentelle funktioner, der kræver separat aktivering). Origin Trial indebærer evnen til at arbejde med den specificerede API fra applikationer downloadet fra localhost eller 127.0.0.1, eller efter registrering og modtagelse af et særligt token, der er gyldigt i en begrænset periode for et specifikt websted.
  • WebTransport er en protokol og et tilhørende JavaScript API til at sende og modtage data mellem en browser og serverKommunikationskanalen er organiseret oven på HTTP/3 ved hjælp af QUIC-protokollen som transport, som igen er et tillæg til UDP-protokollen, der understøtter multipleksing af flere forbindelser og leverer krypteringsmetoder svarende til TLS/SSL.

    WebTransport kan bruges i stedet for WebSockets og RTCDataChannel-mekanismer og tilbyder yderligere funktioner såsom multistreaming, ensrettede streams, levering i forkert rækkefølge samt pålidelige og upålidelige leveringsmetoder. Derudover kan WebTransport bruges i stedet for Server Push-mekanismen, som Google har opgivet i Chrome.

  • En deklarativ grænseflade til at definere links til enkeltstående webapplikationer (PWA'er), aktiveret via parameteren capture_links i webapplikationsmanifestet, der giver websteder mulighed for automatisk at åbne et nyt PWA-vindue, når der klikkes på et link til applikationen, eller at skifte til en enkeltvinduestilstand svarende til mobilapps.
  • WebXR Plane Detection API er blevet tilføjet, og leverer information om plane overflader i et virtuelt 3D-miljø. Denne API giver dig mulighed for at undgå ressourcekrævende behandling af data indhentet via MediaDevices.getUserMedia()-kaldet ved at bruge dine egne implementeringer af maskinsynsalgoritmer. Lad os minde dig om, at WebXR API'en giver dig mulighed for at forene arbejdet med forskellige klasser af virtual reality-enheder, fra stationære 3D-hjelme til løsninger baseret på mobile enheder.
• Implementeret understøttelse af arbejde med WebSockets over HTTP/2 (RFC 8441), som kun er gyldig for sikre anmodninger til WebSockets og i tilfælde af en allerede etableret HTTP/2-forbindelse med serveren, hvor understøttelse af udvidelsen "WebSockets over HTTP/2" annonceres.
• Præcisionsgrænserne for timerværdier returneret af performance.now()-kaldet er blevet samlet på tværs af alle understøttede platforme og tilpasset for at tage højde for mulig isolering af handlere i separate processer. For eksempel er præcisionen for behandling i ikke-isolerede kontekster på desktop-systemer blevet reduceret fra 5 til 100 mikrosekunder.
• Desktop-builds understøtter nu læsning af filer fra udklipsholderen (det er stadig forbudt at skrive filer til udklipsholderen). async function onPaste(e) { let file = e.clipboardData.files[0]; let contents = await file.text(); }
• CSS implementerer @counter-style-reglen, som giver dig mulighed for at definere din egen stil for tællere og etiketter i nummererede lister.
• CSS-pseudoklasserne ":host()" og ":host-context()" er blevet opdateret for at tillade overførsel af enkelte værdier fra sammensatte selektorer ( ) ud over vælgerlisterne ( ).
• Tilføjet GravitySensor-grænseflade til bestemmelse af volumetriske (langs tre koordinatakser) data fra tyngdekraftssensoren.
• File System Access API'en giver mulighed for at definere filnavne og mappeanbefalinger, der tilbydes i dialogboksen til filoprettelse eller åbning.
• I iframes indlæst fra andre domæner er adgang til WebOTP API'en tilladt, hvis brugeren giver de nødvendige tilladelser. WebOTP tillader læsning af engangsbekræftelseskoder sendt via SMS.
• Разрешено предоставление совместного доступа к учётным данным для сайтов, связанных при помощи механизма DAL (Digital Asset Links), позволяющего ассоциировать Android-приложения с сайтами для упрощения входа.
• JavaScript-moduler er tilladt i Service Worker. Ved at angive typen 'module' under konstruktørkaldet, indlæses de angivne scripts som moduler og er tilgængelige til import i workerens kontekst. Understøttelse af moduler gør det nemmere at dele kode mellem websider og Service Workers.
• JavaScript giver mulighed for at teste eksistensen af ​​private felter i et objekt ved hjælp af syntaksen "#foo in obj". class A { static test(obj) { console.log(#foo in obj); } #foo = 0; } A.test(new A()); // true A.test({}); // false
• JavaScript tillader nu som standard nøgleordet await i topniveaumoduler, hvilket gør det muligt at integrere asynkrone kald mere problemfrit i modulindlæsningsprocessen uden at skulle pakkes ind i en "async-funktion". For eksempel kan du i stedet for (async function() { await Promise.resolve(console.log('test')); }()); nu skrive await Promise.resolve(console.log('test'));
• V8 JavaScript-motoren har forbedret effektiviteten af ​​skabelon-caching, hvilket resulterer i en stigning på 4.5% i Speedometer2-FlightJS-benchmarken.
• En stor del af forbedringerne er blevet foretaget i værktøjerne til webudviklere. En ny hukommelsesinspektørtilstand er blevet tilføjet, der giver værktøjer til at undersøge ArrayBuffer-data og Wasm-hukommelse.

  En opsummerende præstationsindikator er blevet tilføjet til præstationspanelet, så du kan bedømme, om webstedet skal optimeres eller ej.

  

  Når du får vist billeder i panelet Elementer og panelet Netværksforespørgselsanalyse, vises oplysninger om billedets billedformat, gengivelsesindstillinger og filstørrelse.

  

  Netværksinspektionspanelet giver dig nu mulighed for at ændre de accepterede værdier for Content-Encoding-headeren.

  

  Panelet Stilarter giver dig nu mulighed for hurtigt at se den beregnede værdi, når du navigerer gennem CSS-parametre, ved at vælge "Vis beregnet værdi" i kontekstmenuen.

  

Ud over innovationer og fejlrettelser eliminerer den nye version 32 sårbarheder. Mange af sårbarhederne blev identificeret som et resultat af automatiseret testning med værktøjerne AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer og AFL. Der blev ikke identificeret kritiske problemer, der ville tillade omgåelse af alle niveauer af browserbeskyttelse og udførelse af kode i systemet uden for sandkassemiljøet. Som en del af programmet til udbetaling af kontantbelønninger for at opdage sårbarheder i den nuværende udgivelse har Google udbetalt 21 belønninger på i alt $92000 (én belønning på $20000, én belønning på $15000, fire belønninger på $7500, tre belønninger på $5000, tre belønninger på $3000, to belønninger på $1000 og to belønninger på $500). Størrelsen på de 5 belønninger er endnu ikke fastsat.

Kilde: opennet.ru